查看kkwgks.exe文件属性发现该文件创建时间与lpk.dll一致，且文件大小与Temp目录下的hrlXX.tmp文件相同，十分可疑，直接将其删除。具体查看该程序，可发现该文件为病毒。

5、删除kkwgks.exe文件即结束了病毒服务，还需要执行上面步骤1-3的删除操作，把再次释放的lpk.dll等文件全部清除，然后重启电脑再全盘搜索检查一遍，原来的病毒文件都不复存在了。

lpk.dll病毒行为分析

经过了上面的手动处理过程后，可以逆向思维简单分析一下病毒行为如下。

1、病毒运行后会把自己拷贝到系统system32目录下以随机数命名(就是上面的kkwgks.exe)，并创建一个名为Nationalgnf的服务。

2、新的服务启动后，利用特殊手段让病毒映像替换svchost.exe，进程中看到的还是svchost.exe，似乎没有什么异样，但此时病毒已经将自己隐藏在svchost.exe里运行，病毒在这里完成的功能包括：

(1)、完成病毒所有的后门任务;

(2)、在系统system32目录下生成hraXX.dll(XX是生成的随机名);

(3)、在系统临时文件目录下不断释放hrlXX.tmp文件(XX是生成的随机名)，这里的hrlXX.tmp文件其实是system32下kkwgks.exe文件的备份，非常危险，作用是恢复system32下被删除的exe病毒文件;

(4)、在存在可执行文件的目录下生成假的lpk.dll，属性为隐藏，当同目录下的exe运行时会自动加载，激活病毒。

关于lpk.dll病毒的情况是在我们的电脑中会一直自己生成多和lpk.dll文件病毒的，那很多的时候出现lpk.dll都是隐藏在电脑中运作的，按照本次的分享关于lpk.dll病毒在XP电脑中的清除方法可以直接处理。